Composition

Mmes les Juges fédérales

Kiss, Présidente, Hohl et Niquille.

Greffier : M. Piaget.

Participants à la procédure

X.________ SA,

représentée par Me Jacques Iffland,

recourante,

contre

A.________,

représenté par Me Simon Ntah,

intimé.

Objet

Protection des données, communication transfrontalière, motifs justificatifs,

recours contre l'arrêt du Tribunal cantonal du canton de Vaud, Cour d'appel civile, du 12 septembre 2018 (PT14.045052-171619 514).

A.a. A.________ a été employé du 9 septembre 2003 au 31 mai 2010 en qualité de " gestionnaire de fortune/acquisiteur " avec le rang de fondé de pouvoirs, puis de sous-directeur à compter du 1er juillet 2004, par la banque X.________ SA, filiale de la Banque X1.________. Il était notamment chargé de la gestion d'un portefeuille de clients, ainsi que de la vente aux clients de mandats de gestion et de fonds de placement. Dans ce cadre, il a été associé à plusieurs comptes présentant un indice d'américanité (" 

A.b. En 2008, les autorités américaines se sont intéressées aux établissements bancaires suisses, suspectant certains d'entre eux d'avoir aidé des clients américains à éluder l'impôt américain.

En 2010, les autorités américaines (soit le Ministère de la justice des Etats-Unis, U.S. Department of Justice [DoJ]) ont ouvert des enquêtes contre onze banques suisses qu'elles soupçonnaient d'avoir aidé des clients américains à se soustraire à leurs obligations fiscales ainsi que d'avoir contrevenu à la réglementation applicable lors des contacts intervenus avec ces clients. Elles ont requis l'entraide administrative de la Suisse en vue d'obtenir des renseignements sur les activités des banques visées aux Etats-Unis.

Les autorités américaines ont ensuite demandé aux banques concernées de leur transmettre un certain nombre de documents complémentaires (en particulier sur les employés s'étant rendus aux Etats-Unis pour communiquer avec des clients américains) si elles voulaient éviter une inculpation.

Le 4 avril 2012, le Conseil fédéral a autorisé les banques concernées à transmettre directement aux autorités américaines des données non anonymisées, à l'exception de celles concernant les clients. Cette décision valait autorisation, au sens de l'art. 271 CP, à procéder sur le territoire suisse pour le compte d'un Etat étranger à des actes relevant des pouvoirs publics. Il appartenait toutefois toujours aux banques d'apprécier le risque que leur responsabilité civile soit engagée.

Le 11 avril 2012, la FINMA a recommandé aux banques concernées de coopérer avec les autorités américaines dans le cadre prévu par le Conseil fédéral, en précisant que la procédure d'entraide administrative était, de ce fait, suspendue.

A.c. Le 14 février 2013, les autorités suisses et américaines ont signé un accord visant à faciliter la mise en oeuvre par les établissements financiers suisses de la loi fiscale américaine ( Le 3 juillet 2013, le Conseil fédéral a mis sur pied une nouvelle procédure d'autorisation individuelle au sens de l'art. 271 CP (autorisation modèle).

A.d. Le 29 août 2013, le Conseil fédéral et le DoJ ont trouvé un accord visant à mettre un terme au différend fiscal entre les banques suisses et les Etats-Unis. Trois documents servent à concrétiser cet accord: la déclaration commune ( En vertu du Joint Statement, le DoJ entend fournir aux banques suisses non impliquées dans une procédure pénale (autorisée par le DoJ) un moyen adapté pour clarifier leur situation (  status) en lien avec l'ensemble des enquêtes menées par le DoJ. Le Conseil fédéral (dans le texte: "  Switzerland "), de son côté, manifeste son intention d'attirer l'attention des banques suisses sur les dispositions du programme américain et de les encourager à envisager une participation. Il relève que le droit suisse en vigueur permettra aux banques suisses une participation effective selon les termes fixés dans le programme.

Le programme volontaire ( Program for Swiss banks) classe les banques suisses en quatre catégories: la première catégorie, exclue du programme, s'adresse aux banques faisant l'objet d'une enquête pénale du DoJ; la deuxième catégorie, destinée aux banques qui estiment avoir violé le droit fiscal américain, permet à celles-ci de se mettre à l'abri d'une poursuite pénale en échange de leur participation, en concluant un  Non-Prosecution Agreement (NPA); les catégories 3 et 4 visent les banques qui estiment ne pas avoir violé le droit fiscal américain.

Selon le programme volontaire américain, les banques appartenant à la catégorie 2 doivent communiquer au DoJ le nom et la fonction des personnes ayant " structuré, géré ou supervisé les actions transfrontalières de la banque en lien avec les Etats-Unis " et le nom et la fonction de " toute personne, dont le gestionnaire de la relation client, le conseiller à la clientèle et gestionnaire d'actifs, ayant été en relation avec un Closed US Related Account ".

Le 30 août 2013, la FINMA a rappelé aux banques qu'il appartenait à chacune d'elles d'évaluer de manière appropriée les potentiels risques juridiques et de réputation qu'entraînerait une non-participation au programme américain et d'en tenir compte dans leur processus de décision qui devra être documenté.

A.e. La banque X.________ a décidé de participer au programme et elle s'est annoncée comme banque de catégorie 2 auprès du DoJ le 27 décembre 2013.

Par décision du 8 janvier 2014, le Département fédéral des finances (DFF) a autorisé la banque à coopérer avec les autorités américaines.

Par courrier du 11 août 2014, la banque X.________ a informé A.________ qu'elle avait l'intention de communiquer aux autorités américaines une liste comportant son nom et sa fonction en lien avec les comptes litigieux, qui, selon la banque, remplissaient les conditions des Closed US Related Accounts.

A.________, par l'intermédiaire de son conseil, s'est opposé à cette communication.

A.f. Le 2 octobre 2015, la banque X.________ a conclu un accord de non-poursuite ( Dans cet accord, qui reprend les obligations du programme américain, la banque s'engage en outre à continuer à collaborer et à fournir des données aux autorités américaines pendant une période de quatre ans, à compter de la date de l'exécution complète de l'accord (". .. from the date this Agreement is fully executed "). Le DoJ se réserve le droit d'engager des poursuites pénales contre la banque en cas de violation des termes de l'accord. Si une telle violation est constatée, le DoJ s'engage toutefois à le communiquer à la banque, par une notification écrite, avant d'entamer une quelconque procédure. La banque peut alors, dans le délai de trente jours, expliquer par écrit la nature et les circonstances de la violation, ainsi que les actions prises pour y remédier. Ces explications doivent être prises en considération par le DoJ pour déterminer l'opportunité d'engager une procédure contre X.________.

B.a. Le 10 novembre 2014, A.________ a déposé une requête de mesures superprovisionnelles et provisionnelles devant le Tribunal civil de l'arrondissement de Lausanne, dans le but de faire interdire à la banque X.________ de transmettre les données litigieuses dans le cadre du programme américain.

Par ordonnance de mesures superprovisionnelles du 11 novembre 2014 et ordonnance de mesures provisionnelles du 17 février 2015, le premier juge a en substance interdit à la banque de transmettre les données.

Le 28 avril 2015 (puis le 17 août 2015, dans une demande rectifiée), A.________ a ouvert action contre la banque devant le Tribunal civil de l'arrondissement de Lausanne, concluant à ce qu'il soit fait interdiction à celle-ci, sous la menace de la peine d'amende prévue à l'art. 292 CP, de transmettre, de communiquer ou de porter à la connaissance de tiers, notamment du DoJ, des données concernant le demandeur ou toute autre information pouvant mener un tiers à l'identifier.

La banque défenderesse a conclu au rejet de la demande.

Par jugement du 26 janvier 2017, la Présidente du Tribunal civil de l'arrondissement de Lausanne a fait interdiction à la banque défenderesse de transmettre, de communiquer ou de porter à la connaissance de tiers, notamment du DoJ, des données concernant le demandeur ou toute autre information pouvant mener un tiers à l'identifier, sous la menace de la peine d'amende prévue à l'art. 292 CP en cas d'insoumission à une décision de l'autorité (sur la portée de l'interdiction, cf. infra consid. 3.7).

B.b. Par arrêt du 12 septembre 2018, la Cour d'appel civile du Tribunal cantonal vaudois a rejeté l'appel formé par la banque défenderesse et confirmé le jugement attaqué.

C. La banque exerce un recours en matière civile contre l'arrêt cantonal du 12 septembre 2018. Elle conclut à son annulation et à ce que le demandeur soit débouté de toutes ses conclusions. La recourante invoque une violation de l'art. 8 CC, ainsi que des art. 4 et 6 al. 2 LPD.

L'intimé conclut à ce que la recourante soit déboutée de l'intégralité de ses conclusions.

1. Le Tribunal fédéral examine d'office et librement sa compétence, respectivement la recevabilité des recours qui lui sont soumis (ATF 134 III 115 consid. 1, 235 consid. 1, 379 consid. 1).

1.1. Le litige concerne principalement l'application de la loi fédérale sur la protection des données (LPD; RS 235.1). Il s'agit en l'occurrence d'une action civile menée, sur la base des art. 4 et 6 LPD, par une personne physique contre une banque; la cause divise deux personnes privées et il s'agit donc d'une contestation civile (art. 72 LTF). En refusant la communication de ses données aux autorités américaines, le demandeur, en tant qu'ex-employé d'une banque, vise avant tout à éviter un interrogatoire, voire une inculpation pénale aux Etats-Unis, de sorte qu'il ne poursuit pas un but économique. Partant, la contestation porte sur un droit de nature non pécuniaire (ATF 142 III 145 consid. 6.1 et 6.2 p. 150 s.) et le recours en matière civile est donc ouvert sans égard à la valeur litigieuse (cf. art. 74 al. 1 LTF Pour le reste, le recours vise un arrêt qui met fin à la procédure et doit être qualifié de décision finale (art. 90 LTF). Il est interjeté par la partie qui a succombé dans ses conclusions prises devant l'autorité précédente et qui a donc qualité pour recourir (art. 76 al. 1 LTF), et il est dirigé contre une décision rendue par un tribunal supérieur statuant sur recours (art. 75 al. 1 et 2 LTF), si bien que le recours en matière civile est en principe recevable puisqu'il a été déposé dans le délai (art. 45 al. 1, 48 al. 1 et 100 LTF) et la forme (art. 42 LTF) prévus par la loi.

1.2. Le recours en matière civile peut être interjeté pour violation du droit, tel qu'il est délimité par les art. 95 et 96 LTF. Il peut donc également être formé pour violation d'un droit constitutionnel (art. 95 let. a LTF; ATF 136 I 241 consid. 2.1 p. 247; 136 II 304 consid. 2.4 p. 313).

Le Tribunal fédéral n'est pas lié par l'argumentation des parties (ATF 138 II 331 consid. 1.3 p. 336) et apprécie librement la portée juridique des faits; il s'en tient cependant d'ordinaire aux questions juridiques que la partie recourante soulève dans la motivation de son recours (art. 42 al. 2 LTF; ATF 137 III 580 consid. 1.3 p. 584).

1.3. Le Tribunal fédéral conduit son raisonnement juridique sur la base des faits établis par l'autorité précédente (art. 105 al. 1 LTF). Il ne peut s'en écarter que si les faits ont été établis de façon manifestement inexacte - ce qui correspond à la notion d'arbitraire (ATF 136 II 304 consid. 2.4 p. 314; 135 III 127 consid. 1.5 p. 130) - ou en violation du droit au sens de l'art. 95 LTF (art. 105 al. 2 LTF). Encore faut-il que la correction du vice soit susceptible d'influer sur le sort de la cause (art. 97 al. 1 LTF).

En l'occurrence, l'état de fait dressé par la cour cantonale a été complété d'office, en particulier s'agissant du contexte général entourant la conclusion de l'accord du 29 août 2013 signé par le Conseil fédéral et le DoJ, ainsi que d'une partie du contenu de l'accord NPA.

2. Sur le fond, la cour cantonale réfute l'argument selon lequel une mise en accusation de la banque entraînerait sa disparition. Elle considère ce fait comme " incertain ", le " scénario paraissant improbable ", ce d'autant plus que la banque, qui n'est pas active sur le marché américain, n'est pas d'importance systémique. Elle relève qu'aucun indice ne permet de dire qu'une livraison incomplète des données au DoJ aurait pour conséquence la révocation de l'accord d'ores et déjà conclu et que la banque se limite à faire état de " risques " de dénonciation de l'accord, sans toutefois démontrer l'existence d'un risque concret dans les circonstances de l'espèce. Elle considère que la troisième condition de l'art. 6 al. 2 let. d 1ère hypothèse LPD (caractère indispensable de la transmission) n'est pas réalisée.

Selon la cour cantonale, la banque ne peut pas non plus se prévaloir de l'art. 6 al. 2 let. d 2ème hypothèse LPD, puisqu'elle n'est pas formellement impliquée dans une procédure judiciaire aux États-Unis et que le caractère indispensable de la transmission (pour la défense d'un droiten justice, devant le DoJ) n'est pas non plus démontré.

3.1. Selon l'art. 6 al. 1 LPD, aucune donnée personnelle (cf. art. 3 LPD) ne peut être communiquée à l'étranger si la personnalité des personnes concernées devait s'en trouver gravement menacée, notamment du fait de l'absence d'une législation assurant un niveau de protection adéquat.

L'art. 6 al. 2 LPD contient une liste exhaustive de motifs (alternatifs) permettant la communication à l'étranger des données, en dépit de l'absence de législation assurant un niveau de protection adéquat (arrêt 4A_390/2017 du 23 novembre 2017 consid. 4.1 et l'arrêt cité).

3.2. Selon l'art. 6 al. 2 let. d première hypothèse LPD, des données personnelles peuvent être communiquées à l'étranger uniquement si la communication est, en l'espèce, indispensable notamment à la sauvegarde d'un intérêt public prépondérant. Cette disposition pose trois conditions: (1) un intérêt public, (2) un intérêt public qui soit prépondérant et (3) une communication qui soit indispensable à la sauvegarde de celui-ci. Dans un arrêt en rapport avec le programme américain, le Tribunal fédéral a déjà précisé ce qu'il y a lieu d'entendre par là.

3.2.1. Il existe un intérêt public si la préservation de la stabilité juridique et économique de la place financière suisse est en jeu. L'intérêt de la banque à sa survie ne suffit en soi pas, dès lors qu'il s'agit d'un intérêt privé, et non d'un intérêt public (arrêt 4A_390/2017 déjà cité consid. 4.2.1).

3.2.2. L'intérêt public doit être prépondérant par rapport à l'intérêt privé du tiers à ce que ses données personnelles ne soient pas communiquées aux autorités américaines. Le juge doit procéder à une pesée des intérêts (art. 4 CC) 

3.2.3. La communication des données doit être indispensable à la sauvegarde de l'intérêt public prépondérant. Elle est indispensable ( En signant le Joint Statement, le Conseil fédéral a garanti au DoJ que le droit suisse en vigueur permet la participation effective des banques au programme américain. Autrement dit, vu le  Joint Statement conclu par le Conseil fédéral, il doit être admis que, matériellement, le droit suisse autorise la participation effective des banques suisses et donc la communication des données de tiers (employés, gestionnaires) conformément aux conditions posées par le programme américain.

Il ne s'agit toutefois pas d'admettre de manière abstraite que toutes les banques doivent communiquer les données concernant des tiers, même en l'absence de toute menace d'une atteinte à l'intérêt public de la Suisse. Il faut bien plutôt examiner si la modification de la situation de fait doit être prise en considération sous l'angle matériel et si elle conduit à admettre ou nier le caractère indispensable de la communication des données. La LPD vise en effet à protéger la personnalité et les droits fondamentaux des personnes qui font l'objet d'un traitement de données. Au centre de ses préoccupations figure donc la protection de la personnalité de l'intéressé (employé, gestionnaire). Ne pas tenir compte par principe des modifications de la situation et admettre systématiquement la communication des données aurait pour conséquence de laisser la personnalité sans protection, alors même que, dans le cas particulier, la communication n'est plus indispensable à la sauvegarde de l'intérêt public (arrêt 4A_390/2017 déjà cité consid. 4.2.3).

Il appartient à la banque de démontrer que, à la date du jugement, la non-communication des données litigieuses aurait pour conséquence nécessaire une nouvelle escalade du litige fiscal avec les USA et, de ce fait, constituerait une menace pour la place financière suisse et la réputation de la Suisse en tant que partenaire de négociation fiable (arrêt 4A_390/2017 déjà cité consid. 4.2.3).

3.3. On observe d'emblée que la cour cantonale a tranché la question litigieuse en considérant que la transmission des données n'était pas indispensable pour la sauvegarde de l'intérêt public (cf. supra consid. 3.2.3).

Les magistrats précédents se fondent sur les critères rappelés par la Cour de céans dans un cas similaire (arrêt 4A_611/2017 du 26 mars 2018 consid. 4.2) et ils relèvent que la banque alors concernée n'a pas fait la démonstration d'un risque avéré (ou concret) dans les circonstances de l'espèce, mais qu'elle se contente de faire état " des risques " de voir l'accord conclu avec le DoJ révoqué.

En l'occurrence, si les divers éléments énumérés par la banque rappellent qu'un manquement de sa part aux obligations résultant du Programme volontaire et de l'accord NPA comporte le risque (identifié de manière générale, abstraite, pour toutes les banques) d'une dénonciation de l'accord, ils ne suffisent pas à démontrer que la non-communication des données litigieuses serait concrètement (en l'espèce) de nature à remettre en cause l'accord conclu et/ou à entraîner une inculpation de la banque. A cet égard, il n'est d'ailleurs pas établi que la banque aurait fait l'objet de relances spécifiques ou de pressions déterminées de la part du DoJ. Par ailleurs, et cela est déterminant, on ne peut déduire de ces éléments que la livraison des données serait en l'occurrence nécessaire pour (risque subséquent) éviter une (nouvelle) intensification du litige fiscal avec les USA qui, de ce fait, affecterait la place financière suisse et porterait préjudice à la réputation de la Suisse en tant que partenaire de négociation fiable.

Cela étant, la livraison des données litigieuses ne peut, en l'état actuel, être considérée comme indispensable au sens de l'art. 6 al. 2 let. d première hypothèse LPD.

Faute de preuve d'un intérêt public actuel et concret de la banque à la transmission des données du demandeur, il n'y a pas lieu de le pondérer avec l'intérêt privé de celui-ci: en particulier, il n'y a pas à examiner le grief que la banque tente de tirer du rôle insignifiant joué par le demandeur et du risque minime qu'il encourrait d'être inculpé aux Etats-Unis, ce qui selon elle justifierait la transmission de ses données.

Le moyen est infondé.

3.4. Dans une critique distincte, la recourante tente d'infléchir le résultat auquel est parvenu la cour cantonale en revenant sur le degré de la preuve. En rapport avec l'existence du risque de dénonciation et/ou d'inculpation, elle estime que la preuve mise à sa charge est impossible à apporter ou qu'elle ne peut pas être raisonnablement exigée d'elle. Invoquant l'état de nécessité, elle considère que la cour cantonale aurait dû renoncer à l'exigence de la certitude et se satisfaire d'une vraisemblance prépondérante. Dans cette dernière perspective (impliquant un degré de preuve réduit), elle considère avoir apporté la preuve qui lui incombait.

L'argumentation ne convainc pas. On ne voit en effet pas en quoi cette preuve (que la banque n'est pas parvenue à fournir) serait, de par la nature même du fait à établir, objectivement impossible à apporter ou pourquoi elle ne pourrait pas être raisonnablement exigée de la banque (cf. ATF 133 III 153 consid. 3.3). Il résulte à cet égard de l'arrêt cantonal que, si les autorités américaines devaient estimer que le NPA a été violé, elles se sont engagées dans cet accord à interpeller par écrit la banque, avant toute poursuite judiciaire; la banque a alors la possibilité, dans le délai de trente jours, d'expliquer par écrit la nature et les circonstances de la violation, ainsi que les actions prises pour y remédier (cf. supra let. A.f). Cela étant, au plus tard au moment de cette interpellation, la banque a (objectivement) la possibilité d'apporter la preuve (au degré de la certitude) (cf. récemment arrêt 4A_174/2018 du 22 août 2018 consid. 3.4).

Le grief est infondé et, l'existence d'un risque de dénonciation et/ou d'inculpation n'ayant pas été démontrée, il est superflu d'examiner les autres critiques de la banque visant la prétendue intensification du litige fiscal avec les Etats-Unis (risque subséquent).

3.5. Il reste à déterminer si, comme le soutient la banque, la communication des données est, pour elle, indispensable à la constatation, à l'exercice ou à la défense d'un droit en justice (art. 6 al. 2 let. d deuxième hypothèse LPD).

Il n'y a à cet égard pas lieu de se demander, comme le fait la recourante, si la procédure menée devant le DoJ peut être considérée, pour la banque, comme " la défense d'un droit en justice ". Il suffit ici de relever que la communication des données doit aussi être indispensable pour constater, exercer ou défendre un droit en justice. Sur ce point, la cour cantonale renvoie d'ailleurs à sa motivation, fournie sous l'angle de l'art. 6 al. 2 let. d première hypothèse LPD, niant le caractère indispensable de la communication. Or, la banque n'a jamais prétendu, ni dans son appel, ni dans son recours en matière civile, que le caractère indispensable de la communication aurait une signification différente dans les deux hypothèses de l'art. 6 al. 2 let. d LPD.

Quant à l'affirmation de la recourante selon laquelle la cour cantonale aurait nié l'existence d'un risque concret de révocation du NPA en violation de l'art. 8 CC (degré de la preuve), elle a déjà été réfutée plus haut (cf. supra consid. 3.4) et il n'y a pas lieu d'y revenir.

La prémisse sur laquelle se fonde la recourante (le caractère indispensable de la communication des données) ayant été écartée (cf. supra consid. 3.3), son argumentation en rapport avec la seconde hypothèse de l'art. 6 al. 2 let. d LPC se révèle sans consistance.

Le moyen est également infondé.

3.6. Il est donc superflu d'examiner si la cour cantonale, comme le prétend la recourante, a transgressé l'art. 4 LPD.

3.7. Au terme de l'examen des moyens invoqués par la recourante, on constate que celle-ci n'a pas discuté la portée des conclusions en interdiction prises par le demandeur et qu'elle n'a soulevé aucun grief contre les décisions cantonales s'agissant des tiers concernés par l'interdiction. Force est toutefois d'observer à cet égard que la procédure judiciaire menée en Suisse a pour seule origine la requête du DoJ. Il convient dès lors de comprendre l'interdiction prononcée par les magistrats cantonaux dans ce contexte, en ce sens qu'elle est limitée à ce seul destinataire (le DoJ) (arrêt 4A_493/2018 du 15 octobre 2018 consid. 3.7; cf. ATF 131 III 70 consid. 3.6 p. 76).

4. Il résulte des considérations qui précèdent que le recours en matière civile doit être rejeté.

Les frais de la procédure fédérale sont mis à la charge de la recourante, qui succombe (art. 66 al. 1 et 68 al. 1 et 2 LTF).

1. Le recours est rejeté.

2. Les frais judiciaires, arrêtés à 1'000 fr., sont mis à la charge de la recourante.

3. La recourante versera à l'intimé une indemnité de 2'500 fr. à titre de dépens.

4. Le présent arrêt est communiqué aux parties et au Tribunal cantonal du canton de Vaud, Cour d'appel civile.

Lausanne, le 6 février 2019

Au nom de la Ire Cour de droit civil

du Tribunal fédéral suisse

La Présidente : Kiss

Le Greffier : Piaget